MeldID a ajouté le mode panique : que se passe-t-il lorsque l'on ne peut plus faire confiance à l'accès au compte

Dans l'article précédent sur MeldID, je décrivais le fonctionnement du système en mode normal : il stocke un profil gérable, facilite la connexion aux services connectés, synchronise les enregistrements TOTP entre appareils et permet de confirmer de nouvelles autorisations via l'application mobile.

Mais toute plateforme d'identification comporte un scénario auquel on pense généralement trop tard : que faire si l'utilisateur ne fait plus confiance à l'état actuel de l'accès à son compte ?

Il n'est pas nécessaire d'avoir déjà subi un piratage pour s'inquiéter. Parfois, un email inattendu de réinitialisation de mot de passe, une session inconnue ou une tentative de connexion depuis un appareil non reconnu suffisent à susciter la suspicion.

Pour ces cas, MeldID a introduit deux nouvelles fonctionnalités : le changement de mot de passe différé et le mode panique.

Comprendre d'abord comment fonctionne le mot de passe MeldID

Dans MeldID, l'utilisateur ne choisit pas son mot de passe lui-même ; c'est la système qui le génère. Cela élimine immédiatement les combinaisons faibles ou prévisibles, la réutilisation de mots de passe habituels et autres problèmes liés à la création autonome.

Le mot de passe en vigueur n'est pas envoyé à l'utilisateur par e-mail. La boîte mail n'est pas une source pour récupérer le mot de passe existant de MeldID.

La procédure de récupération ne révèle pas non plus le mot de passe ancien. Elle permet de lancer la création d’un nouveau mot de passe.

En conséquence, la compromission de l'adresse email pose une autre menace : une personne ayant accès à la messagerie ne saura pas le mot de passe actuel de MeldID, mais pourra tenter de lancer la procédure de récupération pour définir un nouveau mot de passe.

C'est cette situation qui a motivé une modification dans la logique même de la récupération.

Le mot de passe n'est plus changé instantanément

Dans le scénario habituel, la modification s’effectue presque immédiatement : l'utilisateur demande un nouveau mot de passe, reçoit un email et termine la procédure.

Cela est pratique tant que l'email est contrôlé uniquement par le propriétaire. Mais si un tiers y accède, la récupération instantanée ouvre directement le chemin à la prise de contrôle du compte.

Avec MeldID, la demande de nouveau mot de passe devient d'abord une alerte, et non une modification immédiate. L'utilisateur reçoit une notification, puis une période d'attente s’enclenche.

La durée de cette période peut varier, mais le principe reste le même : entre la demande et l'activation effective du nouveau mot de passe, un délai permet de vérifier la situation.

Le mot de passe ancien conserve alors sa validité. La simple demande de récupération ne signifie pas que le contrôle du compte a été transféré à un tiers.

Si l'application est inaccessible

Un scénario important est souvent sous-estimé : l'utilisateur peut vouloir récupérer l'accès, mais ne pas avoir accès à l'application MeldID : le téléphone est perdu, cassé, déchargé ou temporairement hors ligne.

Dans ce cas, la récupération peut quand même aboutir. Après la période d'attente, le nouveau mot de passe s'applique automatiquement. L'application mobile n'est pas nécessaire pour la procédure standard.

Donc, si la personne qui a lancé la changement ne peut plus ouvrir l'application, il n'est pas nécessaire de recommencer la procédure : il suffit d’attendre la fin et de se connecter avec le nouveau mot de passe.

Si l'application est disponible, il y a plus d'options : l'utilisateur peut activer immédiatement le nouveau mot de passe ou annuler la demande suspecte. Si l'accès à l'app est interrompu, la récupération différée continue de fonctionner normalement.

Le utilisateur décide lui-même de la suite

Si la récupération a été lancée par le propriétaire du compte et que l’application est accessible, il peut ouvrir MeldID et activer le nouveau mot de passe immédiatement, sans attendre la fin de la période.

Si la demande est inattendue, il peut l’annuler via l’application. Dans ce cas, le nouveau mot de passe ne devient pas actif et l’ancien reste en place.

Pour moi, c’est une évolution essentielle de la logique de récupération : le système ne considère pas toute demande comme légitime uniquement parce qu’elle a été initiée par email. Il laisse au propriétaire la possibilité d’intervenir et de décider via un appareil de confiance.

Imaginez une situation classique : une personne reçoit une notification de changement de mot de passe, alors qu’elle n’a rien demandé. Elle annule la requête dans l’appli, puis vérifie ses emails, examine ses appareils et cherche la cause d’une activité suspecte.

MeldID ne peut pas reprendre le contrôle d'une messagerie compromise. En revanche, il ne laisse pas cette compromission entraîner immédiatement un nouveau mot de passe pour le compte principal.

Le mode panique révoque les accès actifs

Le changement différé de mot de passe sert à gagner du temps. Le mode panique est destiné aux situations où cela ne suffit plus : l’utilisateur souhaite arrêter immédiatement tous les accès actifs au compte.

Il peut l’activer en un clic via l’application mobile.

Après activation, le système révoque tous les tokens — clés d’accès — qui permettent aux applications ou sites de reconnaître que l’utilisateur est connecté. Il stopping les sessions en cours sur mobile et sur navigateur, liés au compte.

Il ne s’agit pas uniquement de la session en cours sur le téléphone. L’activation annule également les connexions sur d’autres smartphones, tablettes, navigateurs ou applications connectées où une session était ouverte.

Ce mode fonctionne pendant une période déterminée. La durée peut varier, mais le principe principal est : tous les accès existants sont coupés, et l’utilisateur bénéficie d’un délai sécurisé pour analyser la situation.

Le mode panique ne supprime pas les données

Le nom du mode peut paraître extrême, mais il faut préciser ce qu’il ne fait pas.

Le mode panique ne supprime pas les enregistrements TOTP, le profil sauvegardé, les paramètres ou autres données utilisateur. Il ne vide pas le contenu du compte ni ne le transforme en un compte vide.

Ce qui change, c’est l’état d’accès : les tokens actifs sont révoqués, et les sessions ouvertes sont fermées. Après rétablissement normal, les données sauvegardées restent intactes, sans nécessité de les réimporter.

C’est une différence fondamentale entre une coupure d’accès en urgence et la suppression du contenu du compte. L’utilisateur peut fermer ses connexions existantes sans craindre que ses données ou réglages ne disparaissent.

Que se passe-t-il lors du changement de mot de passe en mode panique

Le mode panique a une autre règle importante : il annule toutes les tentatives de changement de mot de passe non finalisées.

Peu importe si la demande a été faite avant l’activation du mode ou pendant. Elle ne pourra pas se terminer automatiquement après désactivation du mode de protection.

Après la fin du mode panique, le mot de passe actif reste celui qui était en place avant son activation.

Cela est volontaire.

La procédure habituelle de récupération suppose que l’utilisateur peut voir une demande suspecte dans l’appli MeldID et l’annuler avant que le nouveau mot de passe ne prenne effet.

Lorsque le mode panique est activé, ce scénario ne peut plus être considéré comme fiable.

Supposons que l’utilisateur ait détecté une activité suspecte et enclenché le mode de protection. Si le timer habituel de récupération continue à fonctionner, un attaquant pourrait demander un nouveau mot de passe pendant le mode panique. Si la période d’attente se termine avant la fin du mode, le nouveau mot de passe pourrait s’appliquer avant que le contrôle ne soit rétabli.

Ce serait un paradoxe : un utilisateur active une protection renforcée, mais le système permet à un attaquant de changer le mot de passe durant cette période, en empêchant le propriétaire d’annuler via l’appli.

Le mode panique ne met pas en pause la récupération pour la reprise ultérieure. Il coupe la procédure en cours.

Les demandes effectuées avant la mise en route du mode n’auront pas d’effet après sa fin. Il en va de même pour celles qui apparaissent durant la période de protection.

Plus aucune récupération non finalisée ne peut la franchir à la fin du mode.

Et si l’utilisateur veut d’abord changer son mot de passe lui-même

Le mode panique ne limite pas l’action de l’utilisateur. En cas de besoin, il peut tout simplement lancer une nouvelle demande de changement de mot de passe avec le nouveau mot de passe actif, puis confirmer immédiatement son choix dans l’appli.

Dans ce scénario, la modification se fait avant l’activation du mode et reste valable après.

Ensuite, l’utilisateur peut activer le mode de protection avec ce nouveau mot de passe en place. C’est celui qui sera conservé après la fin du mode.

Une autre option consiste à activer d’abord le mode, analyser la situation, puis, si nécessaire, lancer une nouvelle modification du mot de passe après la désactivation.

Le principe est que le processus ne doit pas obligatoirement suivre une séquence unique. La règle essentielle : une tentative de changement de mot de passe non finalisée ne doit pas survivre au mode panique.

Le mode panique permet de reprendre le contrôle sur la messagerie

Il existe un scénario où ce mécanisme devient particulièrement crucial : lorsque l’utilisateur pense que le problème ne vient pas de MeldID ni de son téléphone, mais de la messagerie.

En effet, la messagerie est souvent utilisée comme canal de récupération. Sa compromission peut devenir critique, même si le mot de passe MeldID reste inconnu d’un tiers.

Dans ce cas, l’utilisateur peut activer le mode panique pour s’occuper directement du problème : restaurer l’accès à la messagerie, changer son mot de passe, arrêter les sessions inconnues ou vérifier la configuration de sécurité.

Pendant la période du mode panique, MeldID empêche la création d’un nouveau mot de passe via la procédure de récupération.

Si une tentative de récupération a été faite avant l’activation, elle sera annulée par la protection. Toute nouvelle tentative pendant cette période sera également bloquée.

Il s’agit d’une fenêtre temporaire sécurisée : les accès MeldID sont révoqués, la messagerie compromise ne peut pas être utilisée pour préparer un nouveau mot de passe, et l’utilisateur a le temps de reprendre le contrôle de sa messagerie.

Après la fin du mode, le mot de passe MeldID d’origine reste valable. Si l’accès à la messagerie a été rétabli et qu’aucune autre menace n’est visible, l’utilisateur peut reprendre normalement l’usage du compte.

S'il souhaite changer le mot de passe MeldID à la fin, il pourra le faire séparément.

Les raisons possibles d’activer le mode panique

Pour lancer ce mode, il n’est pas nécessaire de prouver d’abord une attaque. Le téléphone peut simplement être hors de portée, une session inconnue peut apparaître, une notification inattendue peut survenir ou on peut simplement avoir la suspicion basée sur plusieurs indices.

Dans de telles situations, il n'est pas toujours nécessaire de mener une enquête approfondie avant d'agir. Parfois, il est plus prudent de révoquer temporairement tous les accès actifs, puis de vérifier en détail.

MeldID opère selon une logique simple : si le propriétaire considère la situation comme dangereuse et a accès à l’application de confiance, il doit pouvoir lancer immédiatement le mode de protection. La plateforme ne besoin pas d’un premier « proof » d’attaque.

Pourquoi une seule modification de mot de passe est souvent insuffisante

Le mot de passe n’est qu’un élément d’authentification. Si une session active ou un token d’accès est déjà en place, changer le mot ne reviendra pas à révoquer tous les accès existants.

Le mode panique agit donc de façon plus étendue : il ne se limite pas à modifier un seul paramètre, mais place le compte entier dans un état de protection renforcée.

Le processus typique est :

1. révocation des sessions et tokens actifs ;

2. arrêt des tentatives inachevées de changement de mot de passe ;

3. impossibilité de modifier le mot de passe par récupération pendant le mode ;

4. le mot de passe actuel reste actif pour l'accès en mode panique ;

5. temps donné à l’utilisateur pour analyser ses appareils, emails et autres sources ;

6. reprise normale ou changement de mot de passe séparé après sortie du mode.

Il ne s’agit pas d’un remplacement de toutes les mesures de sécurité classiques, mais d’un scénario d’urgence pour une confiance momentanément perdue.

Application mobile comme point de confiance

Les nouvelles fonctions sont disponibles dans les applications MeldID pour iPhone et Android. Dans cette architecture, l’appareil mobile devient non seulement un moyen d’entrée supplémentaire, mais un point de gestion fiable de la sécurité du compte.

Elle permet :

• de confirmer la modification différée du mot de passe ;

• d’annuler une demande suspecte ;

• d’activer le mode panique ;

• d’arrêter les sessions actives sur plusieurs appareils ;

• de définir la suite à donner au compte.

Sans remplacer les autres moyens de sécurité, l’application mobile sert de canal de gestion supplémentaire, pour les situations où l’authentification classique ne suffit plus à garantir la confiance dans l’état du compte.

Où se situe la limite de protection de MeldID

Il est important de distinguer la sécurité du mécanisme MeldID lui-même et celle de l’environnement dans lequel il fonctionne.

MeldID est conçu pour que le service ne crée pas de canal standard pour obtenir le mot de passe actuel. Ce mot est généré par le système, il n’est pas choisi par l’utilisateur et ne transite pas par email. La récupération ne révèle pas le mot existant, mais lance une procédure de création d’un nouveau.

Cependant, l’utilisateur peut toujours divulguer ses identifiants lui-même, par exemple en les transmettant à une autre personne ou en les introduisant dans un endroit non sécurisé.

Un autre niveau de sécurité concerne la plateforme elle-même : l’appareil mobile et son OS. L’application fonctionne dans les environnements protégés de iOS ou Android et ne peut en remplacer la sécurité intrinsèque.

C’est pour cela que MeldID se concentre sur les risques qu’il peut contrôler : génération d’identifiants, authentification, tokens, sessions, récupération, réaction à une éventuelle compromission du canal.

De l’entrée à la réaction

Lors de ma première expérience avec MeldID, il pouvait se résumer à un système d’identification unique et de gestion de profil. Après la sortie des applis mobiles et l’introduction de nouveaux mécanismes de sécurité, cette description était trop étroite.

Le système répond désormais non seulement à la question « comment se connecter ? », mais aussi à des questions plus complexes :

• que faire en cas de tentative de récupération inattendue ;

• comment rétablir l’accès sans application ;

• comment obtenir du temps pour vérifier avant d’appliquer un nouveau mot de passe ;

• comment annuler une récupération lancée par une tierce personne ;

• comment révoquer des sessions actives ;

• comment empêcher la compromission de la messagerie de modifier le mot de passe en mode d’urgence ;

• comment reprendre le contrôle du canal externe de récupération ;

• comment préserver les données utilisateur à la fin de toutes les accès actifs ;

• comment retrouver un fonctionnement normal après analyse de la situation.

Au final, cela forme un modèle de protection cohérent.

Le mot de passe actif de MeldID n’est pas transmis via le canal de récupération. La récupération via email, même si elle ne révèle pas le mot, peut permettre de lancer la création d’un nouveau mot de passe. C’est pourquoi la récupération est retardée et peut être annulée via l’application de confiance.

Si cela ne suffit pas, le mode panique coupe tous les accès actifs, révoque les tokens et empêche la récupération accidentelle ou malveillante de dépasser la période de sécurité.

Il offre au utilisateur la ressource essentielle : du temps.

Le temps de reprendre le contrôle sur l’email, d’analyser les appareils, de comprendre ce qui s’est passé, et de rétablir l’accès en toute sécurité.

C’est pourquoi le mode panique dans MeldID n’est pas juste un bouton « déconnexion partout ». C’est une réponse spécifique lorsqu’une confiance momentanément perdue doit être restaurée en priorité.

Pour en savoir plus : meldid.de.